Una nueva técnica de defensa cibernética bautizada como "context bombing" o "bombardeo de contexto" está permitiendo a los equipos de seguridad detener los ataques protagonizados por agentes de inteligencia artificial, utilizando la misma arma que los ciberatacantes empleaban hasta ahora contra los sistemas de IA: las inyecciones de prompts. La firma de ciberseguridad Tracebit ha demostrado que colocar textos estratégicamente diseñados junto a credenciales, contraseñas y claves criptográficas en entornos de Amazon Web Services es suficiente para neutralizar a los modelos de lenguaje que intentan comprometer una infraestructura.
El hallazgo supone un giro estratégico en la lucha contra los ataques agentic, aquellos protagonizados por agentes de IA que ejecutan tareas de forma autónoma. Hasta ahora, el prompt injection —consistente en esconder instrucciones maliciosas en correos, invitaciones de calendario o páginas web para que un modelo obedezca al atacante en lugar de al usuario legítimo— había sido exclusivamente un arma ofensiva. Tracebit ha conseguido darle la vuelta.
La técnica funciona aprovechando los propios mecanismos de seguridad de los grandes modelos de lenguaje. Todos los LLM comerciales cuentan con temas vedados que se niegan a tratar por motivos de seguridad o por razones políticas y regulatorias. Tracebit coloca, junto a las credenciales falsas que utiliza como cebo para detectar intrusos, fragmentos de texto que empujan al modelo atacante hacia esos terrenos prohibidos. Cuando la IA lee ese contenido, sus barreras de seguridad se disparan y el agente entra en un bucle de rechazo del que, según los investigadores, le cuesta mucho recuperarse.
Como explicó Andy Smith, cofundador y CEO de Tracebit, a Ars Technica, "lo que estamos provocando es un mecanismo de rechazo en el contexto. Tiene un efecto fuerte y contundente, y uno del que a los agentes les resulta difícil salir. Una vez que entra en su contexto, van a seguir rechazando". Smith compara el efecto con una explosión de contexto —de ahí el nombre context bombing— porque resulta devastador y difícil de revertir.
Los resultados de las pruebas son contundentes. Tracebit evaluó cinco modelos de referencia —Opus 4.8, Gemini 3.1 Pro, GLM 5.2, DeepSeek 4 Pro y Kimi 2.6— en 152 ejecuciones de ataque dentro de un entorno AWS simulado, donde se les encomendaron tareas rutinarias de desarrollador que terminaron llevando a los modelos a enumerar recursos y toparse con las cadenas plantadas. Sin la defensa, el 57 por ciento de las ejecuciones lograban escalar privilegios de administrador y el 36 por ciento conseguían además una foothold persistente. Con el context bombing activado, esas cifras cayeron al 5 y al 1 por ciento, respectivamente. El caso más llamativo fue el de Opus 4.8, el modelo más capaz de la prueba, que pasó de lograr acceso administrativo en el 93 por ciento de las ejecuciones a fallar en el 100 por cien de los intentos cuando se enfrentó a un context bomb.
La investigación de Tracebit no surge de la nada. En mayo, la compañía ya había presentado un sistema de detección —los Tracebit Canariens— basado en recursos de AWS que parecen cumplir una función legítima pero que en realidad no se utilizan. Cuando un agente de IA atacante los explora, los defensores reciben una alerta, del mismo modo que los canarios advertían a los mineros de la presencia de gas tóxico. Sin embargo, este sistema solo avisaba: no detenía el ataque. En las pruebas, los modelos agentic necesitaban una media de 14 minutos para escalar al control administrativo, mientras que los canarios alertaban del inicio del ataque en apenas ocho minutos. Una ventaja de seis minutos que los responsables de Tracebit consideraron insuficiente.
El context bombing llega, además, en un contexto preocupante. Investigadores de la firma Socket descubrieron el mes pasado un agente de IA malicioso que ordenaba a los modelos objetivo proporcionar instrucciones para construir una bomba nuclear o armas biológicas, con el objetivo de desactivar el análisis de malware asistido por IA. Check Point halló un prototipo de malware con un comportamiento similar. Hasta la fecha, no existe una solución conocida para la causa raíz de las inyecciones de prompts, lo que ha obligado a los desarrolladores a construir barreras de seguridad cada vez más elaboradas. El trabajo de Tracebit sugiere que este problema intractable puede aprovecharse ahora en beneficio de los defensores.
Earlence Fernandes, profesor de la Universidad de California en San Diego especializado en seguridad de IA, confirmó no tener constancia de que nadie hubiera utilizado esta técnica como defensa. "Quería ser el primero aquí, ¡pero parece que estos chicos se me adelantaron!", reconoció. Si la técnica se consolida, podría marcar el inicio de una nueva etapa en la que los equipos de seguridad dispongan de herramientas activas, y no solo reactivas, para frustrar a los atacantes que utilizan IA agentic.